Wie ein Fake-DeFi-Startup nordkoreanische IT-Arbeiter aufdeckte

Fachleute der Unternehmen BCA LTD, NorthScan und ANY.RUN führten eine Operation durch, in deren Rahmen sie den gefälschten DeFi-Startup Ballena Azul aufbauten und drei Entwickler einstellten, die die Forscher für nordkoreanische IT-Spezialisten halten, mutmaßlich mit Verbindungen zur Gruppierung Famous Chollima. Die Kandidaten durchliefen den kompletten Bewerbungsprozess und erhielten Zugriff auf Unternehmens-VMs, die jede ihrer Aktionen protokollierten. Das Experiment ermöglichte eine detaillierte Dokumentation des Toolsets, der operationalen Sicherheit und der typischen Fehler, die solche „Mitarbeiter“ begehen – Erkenntnisse, die für jedes Unternehmen mit Remote-Entwicklern wertvoll sind.

Wie das Einstellungsmodell funktioniert

Nach Angaben der Forscher wurde der erste Kandidat von einem Recruiter vermittelt, der auf GitHub nach Entwicklern suchte. Anschließend griff die Referral-Kette: Der erste Kandidat empfahl den zweiten, dieser wiederum den dritten. Dieses „Schneeballmodell“ ist typisch für Operationen nordkoreanischer IT-Zellen, in denen mehrere Operatoren koordiniert zusammenarbeiten und sich die Infrastruktur teilen.

Bereits in der Phase der Dokumentenprüfung stellten die Forscher zahlreiche Unstimmigkeiten fest:

• Kandidat Nr. 1 gab an, in Pasadena (Texas) zu leben, legte jedoch einen kalifornischen Führerschein und ein Bankkonto in New York vor. Die Metadaten des Ausweisfotos wiesen laut den Forschern auf eine Bearbeitung mit Google Gemini hin, und das Bild selbst enthielt das Wasserzeichen SynthID – ein System zur Kennzeichnung von Inhalten, die von KI generiert wurden.
• Kandidat Nr. 2 legte einen texanischen Führerschein, eine gültige Sozialversicherungsnummer und ein Bankkonto in Kansas City vor.
• Kandidat Nr. 3 schickte einen Führerschein des Bundesstaates New York, der einer anderen Person gehörte. Das Foto wurde mit einem iPhone 15 aufgenommen, doch die GPS-Koordinaten waren aus den Metadaten entfernt worden.

Der Einsatz generativer KI zur Fälschung von Dokumenten ist ein relativ neues Element im Arsenal solcher Operationen. Das Vorhandensein des SynthID-Wasserzeichens deutet darauf hin, dass die Operatoren entweder nichts von dessen Existenz wussten oder nicht in der Lage waren, es zu entfernen.

Aktionen nach Erhalt des Zugriffs

Bereits am ersten Arbeitstag führten alle drei Entwickler auf den bereitgestellten virtuellen Maschinen dieselbe Abfolge von Aktionen aus: Sie starteten die Befehle dxdiag, systeminfo und wmic, um Systeminformationen zu sammeln, und prüften anschließend die Geolokation ihrer IP-Adresse. Eine solche Synchronität weist auf ein standardisiertes Vorgehen hin, an das sich die Operatoren halten.

Einer der Mitarbeiter beging einen kritischen Fehler in der operationalen Sicherheit: Er installierte Chrome Remote Desktop und synchronisierte sein privates Google-Konto mit der Arbeits-VM. Dadurch erhielten die Forscher Einblick in den Browserverlauf, gespeicherte Passwörter und installierte Erweiterungen. Von derselben Maschine aus meldete er sich zudem bei GitHub an.

Toolset und Infrastruktur

Die Analyse der Browser zeigte einen Satz von Werkzeugen, die nach Angaben der Forscher von nordkoreanischen Operatoren für massenhafte Bewerbungen eingesetzt werden:

• AIApply, Final Round AI, Simplify Copilot – Services zur Automatisierung von Bewerbungen und Vorstellungsgesprächen mithilfe von KI
• Eine Erweiterung mit gespeicherten Prompts für ChatGPT
• Der Service 2fa.cn – zur Weiterleitung von Codes für die Zwei-Faktor-Authentifizierung

Der Netzwerkverkehr der Operatoren lief den Angaben zufolge über Exit-Nodes von AstrillVPN – einem VPN-Dienst, der bereits mehrfach in Berichten über nordkoreanische Cyberoperationen erwähnt wurde. Die Infrastruktur der Gruppe war mit den Hosting-Providern Vultr und Gorilla Servers verknüpft.

Die Domain 2fa.cn verdient besondere Aufmerksamkeit: Die Nutzung eines chinesischen Dienstes zur Übermittlung von Codes für die Zwei-Faktor-Authentifizierung ermöglicht es Operatoren in Nordkorea, Bestätigungscodes zu empfangen, die an US-Telefonnummern gebunden sind – ohne physisch in den USA anwesend sein zu müssen.

Ausmaß der Bedrohung

Modelle, bei denen nordkoreanische IT-Spezialisten in ausländische Unternehmen eingeschleust werden, sind seit mehreren Jahren dokumentiert. Solche Beschäftigten können Schadsoftware auf Arbeitsgeräten installieren, Daten aus Unternehmensnetzen stehlen und von Arbeitgebern Lösegeld fordern. Gleichzeitig erledigt ein Teil von ihnen tatsächlich die vereinbarten Aufgaben, während die erzielten Einkünfte an Organisationen fließen, die mit den Behörden Nordkoreas verbunden sind.

Das Verfahren des US-Justizministeriums verdeutlicht das Ausmaß des Problems: Im April 2026 wurden zwei US-Staatsbürger verurteilt, die nordkoreanischen Operatoren zur Anstellung in mehr als 100 US-Unternehmen verholfen hatten, wobei sie mindestens 80 gestohlene Identitäten nutzten. Laut Ermittlungen brachte das Schema Nordkorea über 5 Millionen US-Dollar ein.

Empfehlungen zum Schutz

Auf Basis der Untersuchungsergebnisse lassen sich konkrete Maßnahmen für Unternehmen ableiten, die Remote-Entwickler einstellen:

• Prüfung von Dokumenten auf KI-Generierung: Analysieren Sie die Metadaten von Ausweisbildern auf SynthID-Wasserzeichen und Spuren generativer Modelle
• Kreuzweise Verifizierung von Daten: Gleichen Sie Bundesstaat des Wohnsitzes, Ausstellungsstaat der Dokumente und Standort des Bankkontos ab – geografische Diskrepanzen sind ein starkes Indiz
• Persönliche Verifizierung: Führen Sie nach Möglichkeit mindestens eine Videoverifizierung mit Standortbestätigung durch, bevor Sie Zugriff auf Unternehmenssysteme gewähren
• Monitoring von Arbeitsrechnern: Überwachen Sie in den ersten Arbeitstagen die Ausführung von Reconnaissance-Befehlen (dxdiag, systeminfo, wmic) und die Installation von Remote-Access-Tools
• Kontrolle von VPN-Traffic: Blockieren oder überwachen Sie Verbindungen über AstrillVPN auf Unternehmensgeräten
• Wiederholte Prüfungen: Identitätsprüfungen dürfen sich nicht nur auf den Einstellungszeitpunkt beschränken – führen Sie regelmäßige Kontrollen bei bestehenden Remote-Mitarbeitern durch
• Schulung von Recruitern: HR-Fachkräfte sollten typische Merkmale gefälschter Dokumente und auffälliger Referral-Ketten kennen

Diese Untersuchung ist eine der wenigen dokumentierten Operationen, in denen Verteidiger bewusst eine kontrollierte Umgebung geschaffen haben, um das Verhalten mutmaßlicher nordkoreanischer Operatoren zu beobachten. Obwohl die Zuordnung zu einer konkreten Gruppierung bislang nicht von unabhängigen Quellen bestätigt wurde, besitzen die aufgedeckten Taktiken, Werkzeuge und Fehler in der operationalen Sicherheit praktischen Nutzen. Unternehmen, die Remote-Entwickler einstellen, sollten deshalb die kreuzweise Dokumentenprüfung und die Analyse von Bildmetadaten als Standardbestandteil ihres Einstellungsprozesses etablieren – dies ist die wirksamste Barriere gegen solche Modelle in einer frühen Phase.